Katalog podatności CVE

Flowise w wersji 2.2.3 i wcześniejszych jest podatny na wstrzykiwanie SQL przez parametr tableName w komponencie Postgres_VectorStores.

Występuje podatność CWE-20 związana z niewłaściwą walidacją danych wejściowych, która może prowadzić do utraty poufności, integralności i dostępności stacji roboczej inżynieryjnej, gdy złośliwy plik projektu zostanie załadowany przez użytkownika z lokalnego systemu.

Podatność CVE-2025-2222 dotyczy dostępności plików lub katalogów dla zewnętrznych podmiotów przez protokół HTTPS, co może prowadzić do wycieku informacji oraz potencjalnego podniesienia uprawnień w wyniku ataku typu man-in-the-middle.

Wykryto podatność w systemie Roommate-Bill-Tracking, która dotyczy pliku /includes/login.php. Manipulacja argumentem 'Username' prowadzi do ataku typu SQL injection, co zostało sklasyfikowane jako krytyczne.

W urządzeniach Wi-Fi AP UNIT serii 'AC-WPS-11ac' występuje luka związana z brakiem uwierzytelnienia dla krytycznej funkcji. W przypadku jej wykorzystania, zdalny atakujący bez uwierzytelnienia może uzyskać informacje konfiguracyjne produktu, w tym dane uwierzytelniające.

W urządzeniach Wi-Fi AP UNIT z serii 'AC-WPS-11ac' występuje podatność, która umożliwia ujawnienie informacji o uwierzytelnieniu. W przypadku jej wykorzystania, zdalny atakujący bez uwierzytelnienia może uzyskać informacje o uwierzytelnieniu produktu.

W urządzeniach Wi-Fi AP UNIT 'AC-WPS-11ac series' występuje podatność na wstrzykiwanie poleceń systemowych. W przypadku jej wykorzystania, zdalny atakujący, który ma dostęp do logowania, może wykonać dowolne polecenie systemowe.

W podatności CVE-2025-25053 występuje luka wstrzykiwania poleceń systemowych w interfejsie WEB (strona ustawień) w jednostce AP Wi-Fi serii 'AC-WPS-11ac'. W przypadku jej wykorzystania, zdalny atakujący, który ma dostęp do produktu, może wykonać dowolne polecenie systemowe.

Wersja Tiki przed 28.3 zawiera podatność w wikiplugin_includetpl, która niewłaściwie obsługuje dane wejściowe przekazywane do funkcji eval. Problem został naprawiony w wersjach 21.12, 24.8, 27.2 oraz 28.3.

Lucee w wersjach przed 5.4.7.3 LTS oraz 6 przed 6.1.1.118 jest podatny na awarię mechanizmu ochrony, co pozwala atakującemu na uruchomienie kodu, który powinien być zablokowany oraz na dostęp do zasobów, które powinny być chronione, jeśli atakujący ma możliwość umieszczania plików na serwerze.

Pakiet net/http niewłaściwie akceptuje pojedynczy znak LF jako terminator linii w liniach rozmiaru chunków danych. Może to umożliwić smuggling żądań, jeśli serwer net/http jest używany w połączeniu z serwerem, który błędnie akceptuje pojedynczy LF jako część chunk-ext.

W OpenSSL wykryto błąd w obsłudze argumentu właściwości w wybranych funkcjach. Podatność umożliwia wykorzystanie use-after-free, co może prowadzić do nieokreślonego zachowania lub nieprawidłowego parsowania właściwości, w wyniku czego OpenSSL traktuje dane wejściowe jako pusty ciąg znaków.

Podatność w Dynamics Business Central wynika z nieprawidłowej walidacji danych wejściowych, co umożliwia autoryzowanemu atakującemu ujawnienie informacji lokalnie.

W systemie Windows Win32K występuje podatność typu use after free w module GRFX, która pozwala nieautoryzowanemu atakującemu na podniesienie uprawnień przez sieć.

Nieprawidłowa walidacja danych wejściowych w systemie Windows Kerberos umożliwia autoryzowanemu atakującemu podniesienie uprawnień w sieci.

Podatność CVE-2025-32117 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w widgecie Widgetize Pages Light, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji od n/a do 3.0 włącznie.

Podatność w aplikacji Cursor, wersje 0.45.0 do 0.48.6, pozwalała na nieautoryzowane modyfikacje plików poza otwartym obszarem roboczym w wyniku działania agenta Cursor. Wymagało to jednak celowego wywołania przez użytkownika lub złośliwie przygotowany kontekst, co czyniło skuteczne wykorzystanie tej podatności mało prawdopodobnym w praktyce.

Problem XXE w komponencie Director NBR w NAKIVO Backup & Replication w wersjach od 10.3.x do 11.0.1 przed 11.0.2 umożliwia zdalnym atakującym pobieranie i analizowanie odpowiedzi XML.

W Fortinet FortiOS w wersjach 7.4.0 do 7.4.8, 7.2, 7.0 oraz 6.4 hasła są przechowywane w formacie umożliwiającym ich odzyskanie. Umożliwia to atakującemu ujawnienie informacji poprzez modyfikację adresu IP serwera LDAP, aby wskazywał na złośliwy serwer.